1.1.1. 隧道模式下的安全网关到安全网关

         +-+-+-+-+-+            +-+-+-+-+-+
         |         | IPsec      |         |

Protected |Tunnel | tunnel |Tunnel | Protected Subnet <-->|Endpoint |<---------->|Endpoint |<--> Subnet | | | | +-+-+-+-+-+ +-+-+-+-+-+

   图 1：  安全网关到安全网关隧道

在此场景中，IP 连接的两端都没有实现 IPsec，但位于它们之间的网络节点为部分路径上的流量提供保护。这种保护对端点来说是透明的，它依赖于普通的路由来将报文发送到隧道端点进行处理。每个端点都会通告其"背后"的地址集合，报文将以隧道模式发送，此时内层 IP 头将包含实际端点的 IP 地址。